检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
0系统版本新上线 新增Azure AD远程认证功能 优化更多系统运维管理功能。 商用 升级系统版本 2 Azure AD远程认证 通过配置Azure AD远程认证，支持复用Microsoft第三方服务用户帐号，远程认证登录云堡垒机系统。 商用 配置Azure AD认证 3 支持实例500资产规格
欢迎使用云堡垒机（Cloud Bastion Host，CBH），云堡垒机是华为云的一款4A统一安全管控平台，为企业提供集中的账号（Account）、授权（Authorization）、认证（Authentication）和审计（Audit）管理服务。 在调用云堡垒机API之前，请确保已
什么是云堡垒机 云堡垒机（Cloud Bastion Host，CBH）是华为云的一款统一安全管控平台，为企业提供集中的账号（Account）、授权（Authorization）、认证（Authentication）和审计（Audit）管理服务。 云堡垒机提供云计算安全管控的系统和
只支持HTTP和HTTPS协议网关。 API参数 输入短信网关API参数，关键字$MOBILE和$TEXT将被替换成手机号码和短信内容。 编码 选择UTF-8、Big5、GB18030。 测试手机号 输入可用手机号码，验证短信内容。 自定义消息&短信服务 登录堡垒机系统。 选择“系统 > 系统配置 > 外发配置”，进入系统外发配置管理页面。
确认许可证安装向导 图7 启用许可证安装向导 许可证计划选择“企业协议”。 图8 选择许可证计划 输入企业协议号码。 企业协议号码需提前向第三方平台申购获取官方远程桌面授权许可。 图9 输入协议号码 选择服务器版本为“Windows server 2012 R2”，选择许可证类型为“R
确认许可证安装向导 图7 启用许可证安装向导 许可证计划选择“企业协议”。 图8 选择许可证计划 输入企业协议号码。 企业协议号码需提前向第三方平台申购获取官方远程桌面授权许可。 图9 输入协议号码 选择服务器版本为“Windows server 2019”，选择许可证类型为“RDS每用户CAL”，选择许可证数为100。
确认许可证安装向导 图7 启用许可证安装向导 许可证计划选择“企业协议”。 图8 选择许可证计划 输入企业协议号码。 企业协议号码需提前向第三方平台申购获取官方远程桌面授权许可。 图9 输入协议号码 选择服务器版本为“Windows server 2016”，选择许可证类型为“RDS每用户CAL”，选择许可证数为100。
管理登录手机令牌 手机令牌可用来生成动态口令的手机客户端软件。堡垒机系统支持通过绑定手机令牌对用户登录进行多因子身份认证，用户配置“手机令牌”多因子认证后，需同时输入用户密码和6位手机令牌验证码，才能登录堡垒机系统。更多详细说明，请参见配置手机令牌登录。 目前堡垒机系统可选择两种
配置手机令牌类型 手机令牌可用来生成动态口令的手机客户端软件。堡垒机系统支持通过绑定手机令牌，对用户登录进行多因子身份认证，用户配置“手机令牌”多因子认证后，需同时输入用户密码和6位手机令牌验证码，才能登录堡垒机系统。 本小节主要介绍如何设置系统手机令牌类型。 约束限制 目前仅支持两种手机令牌类型：
系统用户类 在新建用户/资源时，为什么无法选择上级部门？ 如何修改用户手机号码？ 云堡垒机可新建多少个用户？ 父主题： 系统用户、资源及策略配置
登录方式配置说明 密码登录 输入堡垒机系统的用户密码。 默认登录方式。 “AD域认证”、“RADIUS认证”、“LDAP认证”或“Azure AD认证”用户登录密码为远程服务器用户密码，详情请参见远程认证配置。 公钥登录 输入用于验证登录的私钥和私钥密码，登录验证成功后，再次登录时，该用户在SSH客户端可以免密登录。
Key的更新，服务码的获取。 √ √ 认证管理 账户多因子登录认证 登录堡垒机支持账户密码、手机令牌、手机短信、USBKey、动态令牌的方式。 账户密码：申请堡垒机时生成的账户和密码，首次登录堡垒机只能使用该方式登录。 手机令牌：在堡垒机配置手机号码后，在移动端或小程序注册后使用生成的动态密码进行登录。
客户端可以免密登录。 图3 堡垒机用户身份验证 登录到堡垒机系统。 SSH客户端登录认证支持密码登录、手机短信、手机令牌和动态令牌方式。其中手机短信、手机令牌和动态令牌方式，需配置用户多因子认证，详情请参考用户登录配置。 手机短信：本地密码方式登录后，选择“短信验证码”，输入手机短信验证码。
如何批量导入/导出主机资源？ 批量导入 云堡垒机不支持批量创建主机资源，但可以通过主机“导入”的方式批量导入主机资源，包括通过Excel文件导入资源和通过云平台导入资源，详细参见主机管理的批量导入。 “从文件导入”的Excel文件需配置内容，包括名称、IP地址/域名、协议类型、端口、系统类型、所属
Layer）证书，遵守SSL协议的服务器数字证书，并由受信任的根证书颁发机构颁发。 堡垒机系统默认配置安全的自签发证书，但受限于自签发证书的认证保护范围和认证保护时间，用户可替换证书。 本小节主要介绍在证书过期或安全扫描不通过时，用户如何更新证书，确保CBH系统安全。 如果更新了证书，系统
因云堡垒机不能登录已开通双因子认证的Linux主机，请参考HSS双因子认证，关闭Linux主机的双因子认证。 关闭Linux主机双因子认证后，请重新尝试在云堡垒机上登录Linux主机。 检查Linux主机是否拒绝root账户登录 由于sshd服务配置文件“/etc/ssh/sshd_config
间就会变化）。 邮箱认证 输入用户登录名和密码，并输入邮箱验证码（单次邮箱验证码有效期为120秒）。 认证类型 AD域、RADIUS、LDAP、Azure AD、SAML远程认证使用远程服务上的已有用户密码。 表3 认证类型说明 认证类型 认证说明 本地认证 用户登录密码为系统配置静态密码。
API凭证 主要用于统一管理平台添加节点认证使用。 单击“查看”时需要输入系统管理员admin密码、Access Key Secret、Access Key ID。 “更新”、“清除”API凭证需要输入系统管理员admin密码，并且更新后，统一管理平台管理的该节点将会失效。 HA
动态令牌管理 用户账号需配置了“动态令牌”多因子认证，才能为用户账号签发动态令牌。 动态令牌需要提前申购。目前堡垒机支持坚石诚信ETZ201/203型号。 前提条件 已申购硬件令牌。 已获取“用户”模块管理权限。 已获取“动态令牌”模块管理权限。 签发动态令牌 一个动态令牌只能签发给一个用户使用。
原因四：实例配置安全组不合理。 原因五：实例配置VPC内，网络ACL规则配置不合理，或登录IP被网络ACL限制。 原因六：配置AD域认证时，未禁用SSL加密认证。 原因七：堡垒机版本较低。 解决办法 原因一： 定期“手动删除”指定日期前的日志、视频等历史数据。设置磁盘空间满时日志“自动
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
